Stratégie de sécurité du gestionnaire de mots de passe multi-utilisateurs

Question

J'envisage de créer mon propre logiciel de gestion de mot de passe multi-utilisateur basé sur le Web. La question fondamentale qui se pose est la suivante: quelle stratégie vais-je utiliser pour le stockage sécurisé et la récupération des mots de passe?

Évidemment, je ne veux pas stocker des informations en texte clair. Dois-je crypter/décrypter sur le serveur de base de données, le serveur web, le client (javascript), ou partout? Où vivront les clés de cryptage? Dois-je utiliser un mot de passe principal (clé pré-partagée) pour le cryptage/décryptage?

Y a-t-il d'autres questions que je devrais me poser?

J'apprécie toutes les suggestions.

Answer 1

Une recherche rapide sur Google « gestionnaire de mot de passe en ligne » a révélé un certain nombre de résultats, y compris:

http://www.clipperz.com/

ne peux pas commenter la qualité du site ou de leur sécurité, juste répondre à la première ligne de votre message qui dit: «Je suis à la recherche d'un logiciel de gestion de mot de passe multi-utilisateur basé sur le Web." Il est certainement là-bas, et permettrait d'économiser beaucoup de temps par rapport à la construction vous-même.

Answer 2

Vous devriez vous demander «Puis-je obtenir moi-même le mot de passe si je le souhaite? La réponse devrait toujours être non. Pour ce faire, utilisez un hachage salé au lieu du cryptage.

http://pbeblog.wordpress.com/2008/02/12/secure-hashes-in-php-using-salt/